RDP hubadilisha mteja: kwa nini hifadhidata inaona mwenyeji mwingine

Kanuni yako ya VPN inakataa hifadhidata na tikiti inafungwa kama hitilafu ya firewall, wakati mtumiaji yule yule anafungua eneo la kazi lililochapishwa na kuuliza hifadhidata hiyo bila shida. Kauli zote mbili ni kweli. Eneo la kazi ni mteja mwingine, na anwani yake mwenyewe katika sehemu ambayo kanuni tayari zinaiamini, na utambulisho wake mwenyewe unapounganishwa mbele. Kinachoonekana kama kanuni inayopingana mara nyingi ni ombi la pili ambalo hakuna aliyeweka kwenye ukaguzi.

Ombi la pili lina anwani yake ya mteja

Wakati programu ndani ya kikao inafungua muunganisho wa hifadhidata, mshikamano wa TCP huanza kwenye mwenyeji wa kikao. Anwani yake ya chanzo ni ya mtandao wa mwenyeji huyo, kwa hivyo kila kipanga njia na firewall ya hifadhidata njiani hutathmini sehemu ya eneo la kazi, sio dimbwi la vichuguu ambako kompyuta yako mpakato ilikuja. Anwani ya VPN haionekani kamwe katika mtiririko huo. Ndiyo sababu kanuni ya kukataa inayotegemea chanzo inaweza kuwa sahihi na isiyohusika kwa wakati mmoja.

Soma asili kutoka ndani ya kikao sio kutoka kwenye kompyuta mpakato, kisha jaribu njia inayofuata kutoka sehemu hiyo hiyo. Majibu mawili yanapaswa kukubaliana kuhusu ni mwenyeji gani anayetuma ombi.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Linganisha kile kikao kinachoripoti na anwani ambayo hifadhidata ilirekodi kwa wakati huo huo. Wakati kumbukumbu ya seva inaonyesha subnet ya eneo la kazi badala ya dimbwi la vichuguu, swali linaacha kuwa kama kanuni ilifanya kazi na linakuwa ni mwenyeji gani alifanya ombi. Hiyo ni uchunguzi mwingine na mmiliki mwingine.

Utambulisho pia hubadilika pamoja na anwani

Muunganisho unaofuata kwa kawaida huthibitisha kama tokeni ya kikao, hati iliyohifadhiwa au akaunti ya huduma ya programu, na rasilimali hurekodi kile ilichopewa. Kwa hivyo athari ya ukaguzi inayoonyesha akaunti ya huduma kwenye hifadhidata haithibitishi kwamba mtu alifanya swala hilo. Pia haimtambui mtu huyo. Kumbukumbu ya kikao cha eneo la kazi yenyewe ndiyo inayounganisha rekodi hizo mbili.

Uidhinishaji hufanyika mara mbili, na uamuzi wa pili hufanywa kwa pembejeo tofauti. Wa kwanza unampa mtumiaji aliyetajwa kuingia kwenye eneo la kazi, wakati wa pili unatoa kile tokeni ya mtumiaji huyo au akaunti ya programu inaweza kufanya kwa rasilimali. Kikundi cha dawati la msaada kinachoweza kufungua eneo la kazi si kikundi kinachoweza kusoma jedwali la wateja kiatomati.

Angalia tokeni na njia ya uwakilishi kabla ya kuandika noti ya ufikiaji. Zote zinaonekana kutoka ndani ya kikao, na hapo ndipo mahali pekee ambapo jibu si dhana.

whoami /groups
klist
query session

Ikiwa programu inatumia akaunti ya huduma, haki zake ndizo muhimu mbele. Kuzungusha hati hiyo ni sehemu ya ukaguzi wa ufikiaji, sio fikra ya kiutendaji baadaye.

Kwa nini njia ya moja kwa moja bado na kwa haki imezuiwa

Kanuni ya kukataa si mbaya kwa sababu tu lengwa linaweza kufikiwa kwa njia nyingine. Ugawaji hutathminiwa kwa kila chanzo, na eneo la kazi liko kwenye sehemu iliyoruhusiwa muda mrefu kabla ya mtu kufikiria kuwa ni njia ya kufikia hifadhidata. Hakuna kilichokwepa sera. Sera inaeleza tu vyanzo viwili tofauti na matokeo mawili tofauti.

Ukaguzi unapaswa kujibu ni nini kila kikao kilichoidhinishwa kwenye mwenyeji huyo kinaweza kuanzisha. Vivinjari vyenye vikao vilivyohifadhiwa, viendeshi vilivyopangwa, mawakala wanaoshikilia hati na huduma zinazosikiliza ndani ya kompyuta vyote huongeza ufikiaji wa eneo la kazi, na hakuna kimoja kinachoonekana kwenye tikiti iliyotoa kuingia. Orodha hiyo ni uso halisi wa ruhusa.

Yahesabu kutoka ndani ya kikao cha majaribio, sio kutoka kwenye lahajedwali. Amri chache hufunika sehemu kubwa ya uso.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Chagua mpaka kwa makusudi

Maumbo matatu yanafaa kazi tofauti, na uchaguzi unapaswa kufuata kazi sio chombo kinachotokea kuwepo. Programu iliyochapishwa inadhihirisha programu moja na ruhusa zake, eneo kamili la kazi linadhihirisha kila kitu wasifu wa mtumiaji unaweza kufanya, na akaunti nyembamba ya hifadhidata yenye kizuizi cha chanzo inadhihirisha rasilimali moja bila eneo la kazi kabisa. Umbo jembamba zaidi linalokamilisha kazi ndilo la kuandikwa. Kitu chochote kilichopana zaidi kinahitaji sababu iliyoandikwa kando.

Kwa ripoti moja, programu iliyochapishwa au akaunti iliyozuiwa ni ruhusa ndogo kuliko eneo la kazi la jumla. Kwa matengenezo yanayohitaji zana kadhaa kweli, eneo la kazi linaweza kuwa sahihi, lakini basi idhini inaeleza mwenyeji mzima sio programu moja. Muulize mmiliki wa rasilimali ni ipi kati ya hizo anakubali.

Uhamishaji wa data ni swichi tofauti. Ubao wa kunakili, uelekezaji wa viendeshi na vipakuliwa vinaweza kupeleka data ya kampuni kwa mteja, na kuendesha programu kwa mbali hakuhifadhi data kwa mbali yenyewe.

Angalia idhini zote mbili na njia ya kuondoa

Idhini mbili zinapaswa kuwa kwenye rekodi: haki ya kufikia na kufungua eneo la kazi, na haki ya kutumia rasilimali kutoka ndani yake. Taja mmiliki kwa kila moja na uweke ya pili ionekane kwa yeyote anayekagua rasilimali. Ni ingizo la pili ambalo mkaguzi atauliza, kwa sababu linaeleza ufikiaji sio kuingia. Andika zote mbili kabla ya mabadiliko kuidhinishwa, sio baada ya tukio la kwanza.

Kisha jaribu kuondoa, kwa sababu kikao kilichokatwa kinaweza kuishi zaidi ya sababu yake. Jedwali la vikao ni mahali pa haraka zaidi kuona kinachoendelea.

query session
query user
qwinsta /server:rdsh01.corp.internal

Kukata mteja kunaacha kikao cha mbali kikiendelea, na miunganisho yake ya mtandao na hati zilizohifadhiwa zinaweza kubaki zinatumika hadi kikao hicho kiishe. Toka, au maliza kikao kwa uwazi, na uthibitishe kwamba kihesabu cha chini kinaacha kusonga baada ya hapo. Jaribio la kuondoa linalofunga tu kifuniko cha kompyuta mpakato halithibitishi chochote. Fanya jaribio lile lile mara moja ukiwa umezima akaunti na mara moja baada ya kuondoa ruhusa ya eneo la kazi, kisha andika kile rasilimali ilirekodi katika kila kisa.